Leitfaden der EU DSGVO General Data Protection Regulation GDPR

Teile der Regelungen in der DSGVO sind eine Fortführung der bereits bestehenden Datenschutzrichtlinien wie: Verarbeitung nach Treu und Glauben, Rechtmäßigkeit und Transparenz; Zweckbindung; Datensparsamkeit; Datenqualität; Sicherheit, Integrität und Vertraulichkeit.

Allerdings wird die Rechenschaftspflicht für Verantwortliche verschärft, die Einhaltung der Grundsätze nachweisen zu können. Darüber hinaus werden die derzeitigen Vorgaben in der DSGVO erweitert:
Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz – Personenbezogene Daten müssen nun ausdrücklich so verarbeitetet werden, dass es für die betroffene Person nachvollziehbar ist.

Zweckbindung – Mit Einschränkungen ist die Weiterverarbeitung personenbezogener Daten für Archivzwecke, die im öffentlichen Interesse stehen, nicht unvereinbar mit dem ursprünglichen Zweck der Verarbeitung.

Speicherung – Personenbezogene Daten müssen so gespeichert werden, dass die Identifizierung der betroffenen Person nur so lange ermöglicht wird, wie es für die Zwecke der Verarbeitung notwendig ist.

Rechenschaftspflicht – Der Verantwortliche ist für die Einhaltung der Grundsätze und den Nachweis der Einhaltung verantwortlich.

Laut DSGVO sind bestimmte Organisationen nun verpflichtet, einen Datenschutzbeauftragten zu benennen, zum Beispiel einen Mitarbeiter oder externen Dienstleister.

Besitzt Ihr Unternehmen beispielsweise eine große Kundendatenbank, kommen Sie nicht umhin, einen Datenschutzbeauftragten zu ernennen. Entsprechendes Fachwissen wird dabei vorausgesetzt.

Zu den Aufgaben des Datenschutzbeauftragten gehört die Überwachung der Einhaltung der Verordnung, Aufklärung über Pflichten und Handlungsempfehlungen bezüglich der Datenschutz-Folgenabschätzung. Darüber hinaus fungiert er als Anlaufstelle für die Aufsichtsbehörde und Einzelpersonen.”

Das One-Stop-Shop-Prinzip ermöglicht einer Organisation mit mehreren Niederlassungen in der EU, im Bedarfsfall nur eine nationale Aufsichtsbehörde adressieren zu müssen. Die Regeln zur Bestimmung dieser Aufsichtsbehörde und zum Umgang mit Beschwerden sind teilweise jedoch sehr komplex.

In der DSGVO wird die Verletzung des Schutzes personenbezogener Daten neu definiert als die “Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zu Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugriff zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurde”.
Diese Definition ist weiter gefasst als zuvor und berücksichtigt nicht, ob die betroffene Person durch die Verletzung geschädigt wurde. Kommt es in Ihrem Unternehmen zu einer Datenschutzverletzung, müssen Sie Ihre nationale Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls informieren.
Wurden angemessene technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten implementiert – wie z.B. Verschlüsselung – müssen Sie betroffene Personen allerdings nicht informieren.

Ein wichtiger Bestandteil zur Erfüllung der DSGVO ist Datenschutz durch Technikgestaltung, d.h. die Berücksichtigung der Datenschutzanforderungen bei der Entwicklung neuer Verarbeitungstätigkeiten und Produkte. Galt dieser Ansatz zuvor als Best Practice, ist er nun ausdrückliche Vorschrift.

Bei Verarbeitungsvorgängen, die wahrscheinlich mit einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen verbunden sind, muss der Verantwortliche eine Datenschutz-Folgenabschätzung durchführen, mit der Ursache, Art, Besonderheit und Schwere des Risikos evaluiert wird.

Diese Folgenabschätzung sollte sich insbesondere mit den Maßnahmen, Garantien und Verfahren befassen, die das Risiko eindämmen.

Sind Sie international tätig, sollten Sie Ihre Vorschriften und Prozesse für die Datenübermittlung an Drittländer prüfen. Die Strafen für eine Nichteinhaltung der Verordnung oder für eine Datenübermittlung in Rechtssysteme, deren Richtlinien von der Europäischen Kommission als unzureichend angesehen werden, sind sehr hoch.

Es ist höchste Zeit, Ihre Mitarbeiter für die Vorschriften der DSGVO zu sensibilisieren. Darüber hinaus ist es entscheidend, Ihre Verfahren entsprechend der neuen Transparenzforderungen und persönlichen Rechte von Betroffenen zu überarbeiten. Dies kann erhebliche Auswirkungen auf Ihre Finanzen, IT und Schulungen haben.

Eines der Hauptziele der DSGVO besteht darin, die Rechte und Freiheiten natürlicher Personen zu stärken. Damit ändern sich auch die Regeln für den Umgang mit Anträgen zur Einsichtnahme. Achten Sie darauf, dass Sie die Änderungen in Ihren Prozessen abbilden.

So haben Personen das Recht auf Angabe seitens des Verantwortlichen, ob personenbezogene Daten verarbeitet werden. Ist dies der Fall, haben sie ein Recht auf Auskunft über diese Daten und verschiedene weitere Informationen.

Das Recht auf Vergessenwerden erlaubt Personen, von Verantwortlichen unter gewissen Umständen die Löschung sie betreffender personenbezogener Daten zu verlangen, zum Beispiel wenn sie für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind oder Betroffene ihre Einwilligung widerrufen.

Wurden die Daten mit Dritten geteilt, müssen auch sie davon in Kenntnis gesetzt werden, dass die betroffene Person die Löschung verlangt hat.

In der DSGVO wird Profiling definiert als “jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen”. Betroffene Personen haben das Recht, nicht einer ausschließlich automatisierten Entscheidung – einschließlich Profiling – unterworfen zu werden. Wie genau dieses Recht durchgesetzt werden soll, ist allerdings nicht ganz klar.

In der DSGVO wird das Recht auf Datenübertragbarkeit eingeführt, das über das Auskunftsrecht hinausgeht. Betroffene Personen können von Verantwortlichen die Bereitstellung sie betreffender personenbezogener Daten in einem strukturierten, gängigen und maschinenlesbaren Format verlangen und haben das Recht, diese Daten einem anderen Verantwortlichen zu übermitteln.

Diese Regelung gilt allerdings nur für Informationen, deren Verarbeitung mithilfe automatisierter Verfahren erfolgte.

Die Europäische Kommission räumt Personen ein Widerspruchsrecht auf die Verarbeitung personenbezogener Daten ein. Werden die Daten beispielsweise verarbeitet, um Direktwerbung zu betreiben, können betroffene Personen jederzeit Widerspruch dagegen einlegen. Das gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.

Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so dürfen Sie die personenbezogenen Daten nicht mehr für diese Zwecke verarbeiten.

Organisationen müssen betroffene Personen ausdrücklich auf ihr Widerspruchsrecht hinweisen; dieser Hinweis muss verständlich sein und in einer von anderen Informationen getrennten Form erfolgen.

Die DSGVO nennt ausdrücklich Verschlüsselung als eine Methode zur Einhaltung einiger Regelungen.

Artikel 32 – Sicherheit der Verarbeitung:

“1. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein:
a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten (…)”.

Artikel 34 – Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person:

“3. Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist: a) der Verantwortliche geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung (…)”.

Sie sollten dokumentieren, über welche personenbezogenen Daten Sie verfügen, woher sie kommen und mit wem Sie sie teilen.

Verfügen Sie über unrichtige personenbezogene Daten und haben Sie sie darüber hinaus mit einer anderen Organisation geteilt, so fordert die DSGVO, dass Sie die andere Organisation über die Fehlerhaftigkeit der Daten informieren, damit sie ihre Datensätze korrigieren kann. Hierfür sollten Sie unter Umständen eine unternehmensübergreifende, alle Geschäftsbereiche einbeziehende Informationsprüfung durchführen. Damit tragen Sie auch zur Einhaltung der Rechenschaftspflicht bei.

Sie sollten noch vor Mai 2018 prüfen, wie personenbezogene Daten in Ihrem Unternehmen verarbeitet werden und ob die Verarbeitung dem Prinzip der Rechtmäßigkeit entspricht.

Denn je nach Rechtsgrundlage für die Verarbeitung personenbezogener Daten ändern sich mit Inkrafttreten der DSGVO bestimmte Rechte des Einzelnen. So haben Personen ein stärkeres Recht auf Datenlöschung, wenn Sie die Einwilligung als Rechtsgrundlage für Verarbeitung verwenden. Einwilligung ist einer von vielen Wegen, die Rechtmäßigkeit der Verarbeitung zu gewährleisten, aber nicht immer der beste (siehe Widerspruchsrecht).